Di episode #22 kita sudah membahas bahwa penetration testing tanpa izin tertulis bisa berujung masalah hukum. Kali ini saya mau mencatat sisi hukum dan kepatuhannya secara lebih serius — karena ternyata sebagai programmer, “yang bener teknisnya” saja tidak cukup kalau aturannya dilanggar. Ini yang saya catat soal UU ITE, GDPR, PCI-DSS, dan sertifikasi keamanan.
UU ITE — aturan digital yang berlaku di Indonesia
Undang-Undang Informasi dan Transaksi Elektronik lahir dari UU No. 11 Tahun 2008, lalu diubah dua kali: UU No. 19 Tahun 2016 dan UU No. 1 Tahun 2024 (perubahan kedua, ditetapkan 2 Januari 2024). Bagi saya, poin yang paling relevan dengan pekerjaan sehari-hari programmer ada tiga.
Pertama, kewajiban Penyelenggara Sistem Elektronik (PSE) — kalau kita mengoperasikan layanan untuk publik, kita masuk kategori ini dan punya kewajiban perlindungan data pengguna. Kedua, soal barang bukti digital: setiap log, timestamp, dan catatan elektronik bisa dipakai di pengadilan, jadi cara kita menyimpan log (lihat episode #20 soal digital forensics) punya konsekuensi hukum, bukan cuma teknis. Ketiga, ancaman pidananya nyata — UU ini memuat ketentuan soal akses ilegal terhadap sistem elektronik orang lain. Untuk saya, ini pengingat bahwa “coba-coba” ke sistem milik pihak ketiga tanpa izin bukan cuma pelanggaran etika, tapi berpotensi melanggar undang-undang.
GDPR — standar perlindungan data global
General Data Protection Regulation (Regulasi UE 2016/679) berlaku sejak 25 Mei 2018. Meski berasal dari Uni Eropa, dampaknya terasa di mana pun karena bersifat ekstraterritorial: kalau aplikasi kita melayani pengguna di UE, ketentuannya bisa ikut menempel.
Prinsip yang saya tangkap dari GDPR: data pribadi harus punya dasar hukum untuk diproses, dikumpulkan seminimal mungkin (data minimization), dan pengguna punya hak untuk tahu serta menghapus datanya (hak akses dan hak dilupakan). Konsekuensi praktisnya untuk developer: form registrasi jangan minta data yang tidak perlu, kebijakan privasi harus bisa dibaca orang biasa, dan kalau ada kebocoran data, ada kewajiban notifikasi ke otoritas — di UE maksimal 72 jam. Angka denda GDPR memang besar (hingga 4% dari pendapatan tahunan global atau 20 juta euro, mana yang lebih tinggi), tapi yang lebih penting bagi saya: standar ini sudah menjadi patokan yang dirujuk banyak negara lain, termasuk Indonesia lewat PP PSE.
PCI-DSS — standar kalau menyentuh data kartu
PCI Data Security Standard diatur oleh PCI Security Standards Council. Versi yang berlaku sekarang adalah PCI DSS v4.0.1 (dipublikasikan 11 Juni 2024; v4.0 pensiun 31 Desember 2024), dengan persyaratan baru yang efektif sejak 31 Maret 2025. Standar ini wajib bagi organisasi yang memproses, menyimpan, atau mentransmisikan data kartu pembayaran.
Buat saya sebagai web developer, pelajarannya sederhana: kalau bisa, jangan pernah menyimpan nomor kartu lengkap di database sendiri — pakai payment gateway pihak ketiga yang sudah tersertifikasi. Itu keputusan desain yang menghemat begitu banyak beban kepatuhan. Kalau terpaksa menangani data kartu, ada 12 kategori persyaratan yang harus dipenuhi, mulai dari enkripsi, kontrol akses, pemantauan jaringan, hingga kebijakan keamanan formal.
Sertifikasi keamanan — kapan worth it?
Dua sertifikasi yang paling sering saya dengar: CompTIA Security+ (fondasi keamanan umum, banyak dipakai sebagai gerbang karir) dan CEH dari EC-Council (ethical hacking). Ada juga jalur spesialisasi seperti OSCP yang lebih berat ke praktik. Pertanyaan “kapan worth it” saya jawab begini: sertifikasi berguna saat kita butuh kredibilitas cepat di mata rekruter atau klien — terutama kalau pengalaman formal kita masih tipis. Tapi sertifikasi tanpa praktik itu kosong; sebaliknya, praktik tanpa kredibilitas sulit dijual. Episode #22 sudah saya catat, kombinasi lab hands-on (TryHackMe, HackTheBox) plus sertifikasi fondasi adalah jalur yang masuk akal untuk programmer yang mau masuk ke security.
Catatan penutup untuk diri sendiri
Yang saya ambil dari catatan ini: hukum dan kepatuhan bukan urusan pengacara semata — keputusan teknis kita sehari-hari (menyimpan apa di log, meminta data apa di form, mempercayakan kartu ke siapa) sudah menentukan posisi kita terhadap aturan ini. Di episode #27 soal OPSEC, saya menulis soal menjaga jejak digital sendiri; di episode ini saya melihat sisi lainnya — jejak digital orang lain yang kita simpan juga harus dijaga dan dipertanggungjawabkan.
Komentar Terbaru